DÉVELOPPER DES APPLICATIONS WEB SÉCURISÉES

Save this PDF as:
 WORD  PNG  TXT  JPG

Dimension: px
Commencer à balayer dès la page:

Download "DÉVELOPPER DES APPLICATIONS WEB SÉCURISÉES"

Transcription

1 DÉVELOPPER DES APPLICATIONS WEB SÉCURISÉES et après? 3 avril Document confidentiel - Advens 2012

2 Etat des lieux en 2012 Augmentation de la fréquence et de la complexité des attaques WEB Des intrusions parfois difficile à détecter APT: Plusieurs exemples d intrusion et de maintient durant plusieurs jours / semaines AET: Qui en parle? De nombreuses entreprises ne maitrisent pas leur exposition sur le Web Les métiers qui contractualisent en direct Architectures distribuées Externalisation de services Des exemples réguliers dans la presse Cyber-Espionnage Cyber-Crime Cyber-Activisme 2

3 Etat des lieux en 2012 Augmentation des interventions forensic / post-mortem en 2011 E-Commerce: Chantages à l injection SQL Jeux vidéo en Ligne: Vols massif de données joueur Collectivité: Défiguration de site institutionnel Les applications restent vulnérables Aux attaques par injection Au Cross Site Scripting Aux faiblesses dans l authentification Aux faiblesses dans la gestion des sessions Le niveau de sécurité des applications Web ne progresse pas. Plus de 85% des applications Web auditées par Advens en 2011 présentent des failles dans le top 5 de l OWASP. 3

4 Morceaux choisis Banque: Test d intrusion interne Réseau mal segmenté Découverte d une interface Web Aucune vulnérabilité identifiée Authentification : admin / admin Possibilité de reprogrammer les paniers du DAB Tests d intrusion sur une application médicale (plusieurs hôpitaux concernés) Cross Site Scripting, difficilement exploitable Prise de contrôle sur la base de données Accès aux dossiers patients 4

5 Morceaux choisis Collectivité: Test d intrusion sur applicatif métier Attaque par Injection SQL Dump de la base des utilisateurs Attaque sur les mots de passe Découverte du mot de passe administrateur Accès aux données personnelles des citoyens Exploitation d une faille PHP Compromission totale du serveur Nous avions déjà audité une application de cet éditeur. Le mot de passe découvert est identique à celui trouvé lors d un précédent test d intrusion Recherche Google: Plusieurs collectivités possèdent cette application. Après contact et vérification: Les installations possèdent toutes le même mot de passe 5

6 Des causes multiples Manque de sécurité dans les cahiers des charges Manque de sensibilisation des développeurs et des chefs de projets Manque de communication entre les développeurs / les architectes / le réseau Time to Market: Pression du métier Contrôles de sécurité insuffisants ou inadaptés Un comportement inacceptable de certains éditeurs sur les logiciels de niche Un manque de maitrise dans les techniques de sécurisation Une sécurité «périphérique» (ex: focus sur le frontal Web) 6

7 En théorie: Sécuriser le cycle de développement Suivi de l application en production Analyse des besoins et faisabilité Contrôles / Audits Recette Spécifications générales Tests de validation Conception de l architecture Tests d intégration Conception détaillée Tests unitaires Développement 7

8 En pratique: Ne pas se limiter à l application Web App Web App Base de données Prendre en compte la sécurité de toute la chaine applicative 8

9 En pratique: Repenser les contrôles techniques HTTP Front End SOAP Back End Base de données Les contrôles en boite-noire sont insuffisants et pourtant ce sont les plus utilisés Inadapté dans le cycle de développement L audit de code statique a ses limites également Inadapté dans le cycle de développement Nécessité de suivre le «codeflow» pour analyser le comportement applicatif Apparition de nouveaux outils, à la portée des développeurs 9

10 Politique de sécurité Les vrais défis à relever Les questions à se poser: Comment définir une politique de sécurité au niveau applicatif? Comment appliquer cette politique de manière «consistante» sur l ensemble de la chaîne? Comment industrialiser les contrôles pour veiller au bon respect de la politique? Applications Web Middlewares Bases de données Autres Applications Autres Environnements Systèmes d exploitation Réseau, stockage 10

11 Défense en profondeur Et les données? Des référentiels de plus en plus contraignants Peu de mesures de protection réellement en place Applications Web Middlewares Bases de données Prise de conscience Qui applique les mises à jours? Systèmes d exploitation Réseau, stockage Amélioration: Patch management, durcissement, contrôles de conformité opérationnelle Très hétérogène, mais globalement OK 11

12 Quelles solutions? Formation des développeurs La sensibilisation à l OWASP, la formation au pentest, aux dangers d Internet c est bien La fourniture de méthodologies, d outils (ou de services ) c est mieux Un développeur ne sera jamais un expert en sécurité Il faut lui donner des outils adaptés Self-assessment Logiciels de contrôle de la qualité / sécurité du code intégrés dans le processus de développement Intégrer l équipe sécurité dans le process de développement Mener des démarches de fond sur la sécurité applicative Mise en place de «normes» de développement Mise en place de Frameworks standardisés et sécurisés Mise en place de cellules d homologation des logiciels 12

13 Quelles solutions? Les plans d action des audits techniques sont-ils bien adaptés? Appliquer un patch n est pas toujours possible Chiffrer un mot de passe en base ce n est pas toujours possible Implémenter un mécanisme d authentification robuste ce n est pas toujours possible Proposer des solutions en terme d architecture applicative Ne pas se limiter à l exploitation technique de la vulnérabilité Et si, au lieu de rechercher les failles, on partait du principe qu il y en avait? Evaluer les impacts en cas d exploitation Mettre en place les mesures de sécurité minimalistes et ne pas transiger dessus Mettre en place les contrôles adaptés 13

14 Quelles solutions? Revenir au bon sens et aux fondamentaux Isoler ce qu on ne peut contrôler ou sécuriser au premier abord Contrôler les accès Traçabilité Politique du moindre privilège Mesures de protection ciblées: Chiffrement, signature Capitaliser sur les développements et casser la logique de «silo» Ne pas réinventer la roue à chaque projet et appréhender la sécurité dans la globalité de l architecture applicative 14

15 Gouvernance Framework Quelles solutions? Applications Web Service.NET J2EE PHP API SOAP WCF LOGS CRYPTO Access IAM / SSO / STS Auth CLOUD API Enterprise API 15

16 Retour d expérience: Attaques ciblées (1/2) Attaques ciblées contre un groupe international Surface d attaque gigantesque Nombreuses intrusions avérées Vols de données, sabotages Détection Les IPS n ont rien vu (aucune alerte et pas de logs!) Plusieurs applications métiers sont inutilisables Réaction Coupure immédiate de tous les accès réseaux vers les applications Plutôt bien maitrisé, réaction dans les heures qui suivent les attaques Analyse Plusieurs jours nécessaires pour la remise en état des bases de données Scans des vulnérabilités applicatives en urgence Défauts de mise à jour, SQL Injection, XSS, inclusion de fichiers, configurations par défaut, Interfaces de management accessibles Plusieurs mois / homme de travail pour sécuriser les applications métier 16

17 Retour d expérience: Attaques ciblées (2/2) Mise en place de firewalls applicatifs sur plusieurs sites Protection des applications métiers stratégiques pour le groupe Mise en place de politiques très strictes Tuning de la configuration avec les responsables applicatifs Monitoring des WAF Tests fonctionnels sur l intégralité des processus applicatifs Ajustement des politiques / élimination des faux-positifs Bilan après plusieurs mois de service Surveillance continue des WAF (supervision temps réel de l activité) 100% des scans / bruit de fond Internet bloqué Détection de plusieurs attaques de type «découverte» Contrôle d intégrité temps réel sur les interfaces publiques / authentification Scans applicatifs réguliers Initialisation d un programme de sécurisation des applications Attention à la gestion du changement 17

18 Retour d expérience: Mise en conformité PCI DSS (1/2) Société dans le secteur de l assurance Plateforme applicative dédiée au métier de l entreprise Souscription de contrats par téléphone, via une plateforme d appel Collecte d informations personnelles Collecte de données de type cartes bancaires Plateforme accessible à d autres courtiers / assureurs L un des assureurs exige une conformité PCI DSS de la plateforme Plateforme mutualisée Numéros de carte bancaire en clair dans la base de données Numéros de carte bancaire «en clair» dans certains documents 18

19 Retour d expérience: Mise en conformité PCI DSS (2/2) Bulle PCI DSS Contrats chiffrés Encrypt Decrypt Web-Services CB chiffrées 19

20 Développer des applications Web sécurisées et après? Questions? Jérémie Jourdin - Advens 20

DÉVELOPPER DES APPLICATIONS WEB SÉCURISÉES

DÉVELOPPER DES APPLICATIONS WEB SÉCURISÉES DÉVELOPPER DES APPLICATIONS WEB SÉCURISÉES De la théorie à la pratique Juillet 2012 www.advens.fr Document confidentiel - Advens 2012 Développer des Applications Web Sécurisées Intervenants Agenda Frédéric

Plus en détail

Sécurité des applications Web : Réduire les risques. Sébastien PERRET sep@navixia.com NAVIXIA SA

Sécurité des applications Web : Réduire les risques. Sébastien PERRET sep@navixia.com NAVIXIA SA Sécurité des applications Web : Réduire les risques Sébastien PERRET sep@navixia.com NAVIXIA SA Basée à Ecublens, Navixia SA est une société suisse spécialisée dans le domaine de la sécurisation du système

Plus en détail

La sécurité informatique

La sécurité informatique 1 La sécurité informatique 2 Sécurité des systèmes d information Yves Denneulin (ISI) et Sébastien Viardot(SIF) Cadre du cours Informatique civile (avec différences si publiques) Technologies répandues

Plus en détail

Revue de code Sécuritéou Test d Intrusion Applicatif. Quel est le plus efficace pour évaluer un niveau de sécurité applicatif?

Revue de code Sécuritéou Test d Intrusion Applicatif. Quel est le plus efficace pour évaluer un niveau de sécurité applicatif? Revue de code Sécuritéou Test d Intrusion Applicatif Quel est le plus efficace pour évaluer un niveau de sécurité applicatif? http://www.google.fr/#q=sebastien gioria Responsable de la branche Audit S.I

Plus en détail

TOP 10 DES VULNÉRABILITÉS : RETOUR SUR 5 ANS DE PENTEST

TOP 10 DES VULNÉRABILITÉS : RETOUR SUR 5 ANS DE PENTEST TOP 10 DES VULNÉRABILITÉS : RETOUR SUR 5 ANS DE PENTEST $ WHOAMI ITrust Société toulousaine Expertise en sécurité informatique Activités Service en sécurité (pentest / forensic / formation ) Editeur de

Plus en détail

Enterprise Risk Management 01/12/09. Patrick CHAMBET http://www.chambet.com

Enterprise Risk Management 01/12/09. Patrick CHAMBET http://www.chambet.com Enterprise Risk Management 01/12/09 La gestion des risques de sécurité informatique De la protection du SI à la protection de l'information Patrick CHAMBET http://www.chambet.com Bouygues Telecom DSI/DGOA/SSI

Plus en détail

Label sécurité ITrust : ITrust Security Metrics

Label sécurité ITrust : ITrust Security Metrics ITrust Security Metrics : le label sécurité d ITrust 26 Septembre 2011 Label sécurité ITrust : ITrust Security Metrics Objet : Ce document présente le label de sécurité ITrust et formalise les conditions

Plus en détail

Sécurité des applications Retour d'expérience

Sécurité des applications Retour d'expérience HERVÉ SCHAUER CONSULTANTS Cabinet de Consultants en Sécurité Informatique depuis 1989 Spécialisé sur Unix, Windows, TCP/IP et Internet Netfocus Sécurité des applications Retour d'expérience Nicolas Collignon

Plus en détail

Club des Experts de la Sécurité de l Information et du Numérique

Club des Experts de la Sécurité de l Information et du Numérique Club des Experts de la Sécurité de l Information et du Numérique Cybersécurité dans les entreprises 9 ème Entretiens de Télécom ParisTech Alain Bouillé Président du CESIN Sommaire 1. Quel terrain de jeu

Plus en détail

CP - NBS System. La sécurité informatique : focus sur les menaces les plus communes et leurs solutions

CP - NBS System. La sécurité informatique : focus sur les menaces les plus communes et leurs solutions La sécurité informatique : focus sur les menaces les plus communes et leurs solutions Nous avons publié en février un article résumant les principaux risques liés au manque de sécurité des sites internet.

Plus en détail

Formation e-commerce Développeur Sécurité

Formation e-commerce Développeur Sécurité Page 1 sur 6 28 bd Poissonnière 75009 Paris T. +33 (0) 1 45 63 19 89 contact@ecommerce-academy.fr http://www.ecommerce-academy.fr/ Formation e-commerce Développeur Sécurité Développeur indépendant ou en

Plus en détail

S26B. Démarche de de sécurité dans les projets

S26B. Démarche de de sécurité dans les projets S26B Démarche de de sécurité dans les projets Théorie et et réalité Patrick CHAMBET Bouygues Telecom http://www.chambet.com Eric LARCHER Banque Fédérale des Banques Populaires http://www.internet-securise.com

Plus en détail

Réguler le virtuel : Expérience des jeux en ligne

Réguler le virtuel : Expérience des jeux en ligne Réguler le virtuel : Expérience des jeux en ligne Stéphane Vaugelade Les propos de cette présentation n engagent que leur auteur Forum 2011 1 Sommaire Rappel historique Exigences du régulateur Cahier des

Plus en détail

Réf. Module Public ciblé Durée Contenu. Décideurs du secteur Commerce ou des Institutions financières concernées par le paiement

Réf. Module Public ciblé Durée Contenu. Décideurs du secteur Commerce ou des Institutions financières concernées par le paiement La sécurisation des transactions électroniques a toujours été au cœur des préoccupations des acteurs du paiement, qu'ils soient commerçants, institutions financières ou fournisseurs de services. L'industrie

Plus en détail

NOS MODULES D AUDIT. Analyse - Accompagnement - Sérénité - Sécurité

NOS MODULES D AUDIT. Analyse - Accompagnement - Sérénité - Sécurité NOS MODULES D AUDIT Analyse - Accompagnement - Sérénité - Sécurité Audit Technique Audit des serveurs Mise à jour, vulnérabilités classiques Respect des politiques de mots de passe Contrôle des accès à

Plus en détail

ActiveSentry : le monitoring permanent de la sécurits. curité des architectures Internet

ActiveSentry : le monitoring permanent de la sécurits. curité des architectures Internet ActiveSentry : le monitoring permanent de la sécurits curité des architectures Internet OSSIR 11/09/2001 Fabrice Frade Directeur Technique Intranode 2001 Qui est Intranode? Intranode est un éditeur d une

Plus en détail

Prise en compte des informations de veille et d alerte d

Prise en compte des informations de veille et d alerte d Prise en compte des informations de veille et d alerte d Cert-IST dans un workflow structuré Cert-IST Juin 2006 Agenda Le workflow? Quelles sont les diffusions du Cert-IST concernées Comment a-t-on adapté

Plus en détail

OWASP Top Ten 2013 Les dix risques de sécurité applicatifs Web les plus critiques

OWASP Top Ten 2013 Les dix risques de sécurité applicatifs Web les plus critiques OWASP Top Ten 2013 Les dix risques de sécurité applicatifs Web les plus critiques OSSIR Paris / 14 janvier 2014 Guillaume Lopes Consultant Sécurité Guillaume.Lopes@Intrinsec.com 14 janvier 2014 1 Qui suis-je?

Plus en détail

TOP 10 DES VULNÉRABILITÉS : RETOUR SUR 5 ANS DE PENTEST. 10 Décembre 2013 Julien Lavesque j.lavesque@itrust.fr

TOP 10 DES VULNÉRABILITÉS : RETOUR SUR 5 ANS DE PENTEST. 10 Décembre 2013 Julien Lavesque j.lavesque@itrust.fr TOP 10 DES VULNÉRABILITÉS : RETOUR SUR 5 ANS DE PENTEST 10 Décembre 2013 Julien Lavesque j.lavesque@itrust.fr $ WHOAMI Julien Lavesque ü Directeur technique ITrust ü Consultant Sécurité depuis 10 ans ü

Plus en détail

Table Ronde Cybersécurité

Table Ronde Cybersécurité 03 décembre 2013 Table Ronde Cybersécurité Comment les fournisseurs d automatismes prennent en compte les besoins de cybersécurité? Participants: Phoenix Contact T.Vajsman Rockwell Automation J.Poncharal

Plus en détail

Formations. «Règles de l Art» Certilience formation N 82 69 10164 69 - SIRET 502 380 397 00021 - APE 6202A - N TVA Intracommunautaire FR17502380397

Formations. «Règles de l Art» Certilience formation N 82 69 10164 69 - SIRET 502 380 397 00021 - APE 6202A - N TVA Intracommunautaire FR17502380397 Formations «Règles de l Art» Nos formations Réf. ART01 14 Heures Authentification Réf. ART02 14 Heures Durcissement des systèmes Réf. ART03 14 Heures Firewall Réf. ART04 14 Heures Logs Réf. ART05 7 Heures

Plus en détail

Projet Formation E-Learning - Sept 2015 «Sécurité des applications Web»

Projet Formation E-Learning - Sept 2015 «Sécurité des applications Web» Projet Formation E-Learning - Sept 2015 «Sécurité des applications Web» 1 OBJECTIFS DE LA FORMATION RSSI PUBLIC Administrateur Réseau et Système Consultant sécurité Responsable Développement Développeur

Plus en détail

HERVÉ SCHAUER CONSULTANTS Cabinet de Consultants en Sécurité Informatique depuis 1989 Spécialisé sur Unix, Windows, TCP/IP et Internet JSSI INSA

HERVÉ SCHAUER CONSULTANTS Cabinet de Consultants en Sécurité Informatique depuis 1989 Spécialisé sur Unix, Windows, TCP/IP et Internet JSSI INSA HERÉ SCHAUER CONSULTANTS Cabinet de Consultants en Sécurité Informatique depuis 1989 Spécialisé sur Unix, Windows, TCP/IP et Internet JSSI INSA Gestion des risques SSI dans les projets Julien Levrard

Plus en détail

Projet Sécurité des SI

Projet Sécurité des SI Projet Sécurité des SI «Groupe Défense» Auteurs Candide SA Diffusion: limitée Type de document Compte rendu Projet Sécurité Destinataires P. LATU Date 14/12/09 M2 STRI Version 1.2 Introduction Sous-traitance

Plus en détail

Touch ID, OAuth, Authentification mobile, Quelle confiance vis-à-vis de ces nouveaux mécanismes?

Touch ID, OAuth, Authentification mobile, Quelle confiance vis-à-vis de ces nouveaux mécanismes? GS DAYS 2015 Touch ID, OAuth, Authentification mobile, Quelle confiance vis-à-vis de ces nouveaux mécanismes? Dans un contexte de révolution digitale www.harmonie-technologie.com +331 73 75 08 47 info.ssi@harmonie-technologie.com

Plus en détail

La sécurité des PABX Le point de vue d un constructeur Les mesures de sécurisation des équipements lors du développement et de l intégration

La sécurité des PABX Le point de vue d un constructeur Les mesures de sécurisation des équipements lors du développement et de l intégration La sécurité des PABX Le point de vue d un constructeur Les mesures de sécurisation des équipements lors du développement et de l intégration Pierre-Alexandre FUHRMANN Vice-President Global R&D 25 Avril

Plus en détail

Sécurisation des applications web : retour d'expérience des développeurs de Sympa

Sécurisation des applications web : retour d'expérience des développeurs de Sympa Sécurisation des applications web : retour d'expérience des développeurs de Sympa David Verdin - TutoJ RES 12 : Sécurité des sites web - 4 février 2010 8 février 2010 1 En guise d'intro Le point de vue

Plus en détail

Next Generation Application Security. Catalogue des formations

Next Generation Application Security. Catalogue des formations Next Generation Application Security Catalogue des formations Nbr de jours Janvier Février Mars Avril Mai Juin Juillet Août Septembre Octobre Novembre Décembre PLANNING DES FORMATIONS 2015 Denyall Web

Plus en détail

Les risques HERVE SCHAUER HSC

Les risques HERVE SCHAUER HSC HERVE SCHAUER HSC Les risques Les risques ne cessent d'augmenter: Informatisation systématique de l'ensemble de la société Ouverture des systèmes d'information sur Internet Démultiplication de ce qui est

Plus en détail

Atelier Sécurité / OSSIR

Atelier Sécurité / OSSIR Atelier Sécurité / OSSIR Présentation Produits eeye SecureIIS Retina elorrain@eeye.com & broussel@eeye.com Sommaire Page 2 Qui sommes nous? SecureIIS Protection Web Retina Scanner de Sécurité Questions

Plus en détail

IDC Risk Management 2009 Quelles démarches pour satisfaire les exigences de la norme PCI DSS?

IDC Risk Management 2009 Quelles démarches pour satisfaire les exigences de la norme PCI DSS? IDC Risk Management 2009 Quelles démarches pour satisfaire les exigences de la norme PCI DSS? Leif Kremkow Dir. Technical Account Managemet, CISSP Mardi, 5 Février, 2009 PCI Security Standards Council

Plus en détail

Big Data : se préparer au Big Bang

Big Data : se préparer au Big Bang Big Data : se préparer au Big Bang Initialement confinées au cœur des moteurs de recherche et des réseaux sociaux, les technologies du Big Data s'exportent désormais avec succès dans de nombreux secteurs

Plus en détail

Comment assurer la conformité des systèmes informatiques avec les référentiels et normes en vigueur

Comment assurer la conformité des systèmes informatiques avec les référentiels et normes en vigueur Comment assurer la conformité des systèmes informatiques avec les référentiels et normes en vigueur Quels outils mettre en œuvre pour garantir une sécurité informatique maximale et conforme aux exigences

Plus en détail

LA PROTECTION DES DONNÉES

LA PROTECTION DES DONNÉES LA PROTECTION DES DONNÉES PROTECTION DES BASES DE DONNÉES 22/11/2012, Swissôtel Métropole INTRODUCTION UNE CIBLE DE CHOIX Contient énormément de données confidentielles Rarement protégée autrement que

Plus en détail

Gestion des comptes à privilèges

Gestion des comptes à privilèges 12 décembre 2013 Gestion des comptes à privilèges Bertrand CARLIER, Manager Sécurité de l Information bertrand.carlier@solucom.fr Solucom, conseil en management et système d information Cabinet de conseil

Plus en détail

DOMAINES DE COMPÉTENCE

DOMAINES DE COMPÉTENCE ABBANA est une société jeune et dynamique. Intégrateurs en systèmes, réseaux et sécurité, nous fournissons à nos clients des prestations de haute qualité. Nous nous démarquons par notre réactivité, notre

Plus en détail

Problématique, Constats

Problématique, Constats Problématique, Constats Réactivité de la DSI pour les projets numériques consommateurs Contraintes de temps et de coûts Forte pression des métiers Compétitivité des sociétés externes Décalage de démarrage

Plus en détail

La cybersécurité. Que fait Siemens en la matière?

La cybersécurité. Que fait Siemens en la matière? Les actions et initiatives de Siemens Un sujet nouveau La cybersécurité Que fait Siemens en la matière? Page 1 Rétrospective 1998 Création du CERT Siemens pour la protection des infrastructures IT internes

Plus en détail

www.netexplorer.fr contact@netexplorer.fr

www.netexplorer.fr contact@netexplorer.fr www.netexplorer.fr 05 61 61 20 10 contact@netexplorer.fr Sommaire Sécurité applicative... 3 Authentification... 3 Chiffrement... 4 Traçabilité... 4 Audits... 5 Sécurité infrastructure... 6 Datacenters...

Plus en détail

Serveur virtuel infogéré

Serveur virtuel infogéré Serveur virtuel infogéré Fiche produit 12 novembre 2010 Résumé Afin de garantir la disponibilité du serveur du client, nous proposons la mise à disposition d un serveur virtuel avec une infogérance complète

Plus en détail

Les Logiciels Libres au Service de la Sécurité

Les Logiciels Libres au Service de la Sécurité Retour d expérience sur le déploiement de logiciels libres pour la sécurité des systèmes d information cedric.blancher@eads.net -- http://sid.rstack.org/ Centre Commun de Recherche EADS FRANCE Journée

Plus en détail

Sécurisation d un site nucléaire

Sécurisation d un site nucléaire Sécurisation d un site nucléaire Club automation 03 décembre 2013 Application du concept de défense en profondeur Laurent RAILLIER Un site nucléaire existant Base installée Schneider Electric importante

Plus en détail

Présentation de la solution Open Source «Vulture» Version 2.0

Présentation de la solution Open Source «Vulture» Version 2.0 Présentation de la solution Open Source «Vulture» Version 2.0 Advens IST Day 15 septembre 2011 http://www.vultureproject.org 1 s/apache/mod_perl/ LE PROJET VULTURE Advens IST Day 15 septembre 2011 http://www.vultureproject.org

Plus en détail

SAR-SSI, La Rochelle 20/05/2011

SAR-SSI, La Rochelle 20/05/2011 Certification de Sécurité de Premier Niveau Une réponse pragmatique aux besoins du marché civil SAR-SSI, La Rochelle 20/05/2011 Frédéric Rémi - frederic.remi@amossys.fr ACCREDITATION N 1-2190 PORTEE DISPONIBLE

Plus en détail

Audits Sécurité. Des architectures complexes

Audits Sécurité. Des architectures complexes Audits Sécurité Des architectures complexes L avènement d Internet et le développement des applications Intranet/Extranet ont permis aux entreprises d accroître leur compétitivité par l ouverture de leurs

Plus en détail

Profil de protection d un logiciel d ingénierie

Profil de protection d un logiciel d ingénierie Version 1.0 moyen-terme GTCSI 11 septembre 2015 Avant-propos Dans toute la suite de ce document, l acronyme ToE (Target of Evaluation) désigne le composant qui est l objet de l évaluation. 1 Descriptif

Plus en détail

Travaux soutenus par l ANR. Jean-François CAPURON (DGA) Bruno LEGEARD (Smartesting)

Travaux soutenus par l ANR. Jean-François CAPURON (DGA) Bruno LEGEARD (Smartesting) Travaux soutenus par l ANR Jean-François CAPURON (DGA) Bruno LEGEARD (Smartesting) 03 Avril 2012 1. Test de sécurité et génération de tests à partir de modèle 2. Le projet SecurTest à DGA Maîtrise de l

Plus en détail

dans un contexte d infogérance J-François MAHE Gie GIPS

dans un contexte d infogérance J-François MAHE Gie GIPS Management de la sécurité dans un contexte d infogérance J-François MAHE Gie GIPS Mise en place d une convention de service Traitant les points suivants : L organisation de la sécurité du SI La gestion

Plus en détail

La sécurité IT - Une précaution vitale pour votre entreprise

La sécurité IT - Une précaution vitale pour votre entreprise Parole d expert La sécurité IT - Une précaution vitale pour votre entreprise Philippe MONFILS - ComputerLand SLM Bruno MAIRLOT - Maehdros Une organisation conjointe avec Café Numérique Avec le soutien

Plus en détail

Gestion des mises à jour logicielles

Gestion des mises à jour logicielles Gestion des mises à jour logicielles Jean-Marc Robert Génie logiciel et des TI Menaces et vulnérabilités Menaces Incidents non intentionnels Activités inappropriées Contenu inapproprié Utilisation inappropriée

Plus en détail

Sécurité et mobilité

Sécurité et mobilité LEXSI > SÉMINAIRE ARISTOTE "SÉCURITÉ & MOBILITÉ" 1 Sécurité et mobilité QUELQUES ERREURS CLASSIQUES OU REX SUITE À AUDITS 07/02/2013 lgronier@lexsi.com/ fverges@lexsi.com Agenda 2 La mobilité et les audits

Plus en détail

Mohamed Houcine Elhdhili & Khaled Sammoud. khaled.sammoud@gmail.com. Remarque: ce document doit être complété par les notes de cours

Mohamed Houcine Elhdhili & Khaled Sammoud. khaled.sammoud@gmail.com. Remarque: ce document doit être complété par les notes de cours Cours Sécurité et cryptographie Mohamed Houcine Elhdhili & Khaled Sammoud Med_elhdhili@yahoo.eselhdhili@yahoo es khaled.sammoud@gmail.com Remarque: ce document doit être complété par les notes de cours

Plus en détail

Retour d expérience. Julien BERNARD Crédit Agricole Asset Management

Retour d expérience. Julien BERNARD Crédit Agricole Asset Management Retour d expérience Julien BERNARD Crédit Agricole Asset Management Sommaire 1. Crédit Agricole Asset Management 2. Etat des lieux applicatifs 3. Plate-forme de développement 4. Retour d expérience sur

Plus en détail

Méthode de Test. Pour WIKIROUTE. Rapport concernant les méthodes de tests à mettre en place pour assurer la fiabilité de notre projet annuel.

Méthode de Test. Pour WIKIROUTE. Rapport concernant les méthodes de tests à mettre en place pour assurer la fiabilité de notre projet annuel. Méthode de Test Pour WIKIROUTE Rapport concernant les méthodes de tests à mettre en place pour assurer la fiabilité de notre projet annuel. [Tapez le nom de l'auteur] 10/06/2009 Sommaire I. Introduction...

Plus en détail

Retours d'expérience sur des campagnes d audit de sécurité

Retours d'expérience sur des campagnes d audit de sécurité Retours d'expérience sur des campagnes d audit de sécurité Patrick CHAMBET, RSSI Julien TORDJMAN (CISA/CISSP) Centre de Sécurité C2S, Groupe Bouygues Plan Organisation de la sécurité dans le Groupe Bouygues

Plus en détail

Sécurité : les principaux risques et les moyens de protection associés

Sécurité : les principaux risques et les moyens de protection associés Sécurité : les principaux risques et les moyens de protection associés Les dangers sont très nombreux et divers. De plus, ils évoluent rapidement dans le temps. Néanmoins, les principaux risques pour les

Plus en détail

I V R I. dentification ulnérabilités isques nterprétation. 2003 Marc-André Léger

I V R I. dentification ulnérabilités isques nterprétation. 2003 Marc-André Léger I V R I dentification ulnérabilités isques nterprétation 2003 Marc-André Léger les vulnérabilitées 7000 6000 5000 4000 3000 2000 1000 0 2000 2001 2002 2003 2004 Vision de l organisation comme système organique

Plus en détail

Systèmes et réseaux d information et de communication

Systèmes et réseaux d information et de communication 233 DIRECTEUR DES SYSTÈMES ET RÉSEAUX D INFORMATION ET DE COMMUNICATION Code : SIC01A Responsable des systèmes et réseaux d information FPESIC01 Il conduit la mise en œuvre des orientations stratégiques

Plus en détail

L Agence du revenu du Canada protège l accès au système pour 70 000 utilisateurs

L Agence du revenu du Canada protège l accès au système pour 70 000 utilisateurs TÉMOIGNAGE DE CLIENT L Agence du revenu du Canada protège l accès au système pour 70 000 utilisateurs PROFIL DE CLIENT Industrie : Gouvernement Ministère : Agence du revenu du Canada Employés : 44 000

Plus en détail

HERVÉ SCHAUER CONSULTANTS Cabinet de Consultants en Sécurité Informatique depuis 1989 Spécialisé sur Unix, Windows, TCP/IP et Internet JSSI 2010

HERVÉ SCHAUER CONSULTANTS Cabinet de Consultants en Sécurité Informatique depuis 1989 Spécialisé sur Unix, Windows, TCP/IP et Internet JSSI 2010 HERVÉ SCHAUER CONSULTANTS Cabinet de Consultants en Sécurité Informatique depuis 1989 Spécialisé sur Unix, Windows, TCP/IP et Internet JSSI 2010 Les webshells, ou comment ouvrir les portes de son réseau?

Plus en détail

IPS : Corrélation de vulnérabilités et Prévention des menaces

IPS : Corrélation de vulnérabilités et Prévention des menaces IPS : Corrélation de vulnérabilités et Prévention des menaces SIM+IPS opensource David Bizeul & Alexis Caurette C O N N E C T I N G B U S I N E S S & T E C H N O L O G Y Définitions SIM : Security Information

Plus en détail

" Tests d intrusion» Marc Behar - Frederic Charpentier XMCO - Partners

 Tests d intrusion» Marc Behar - Frederic Charpentier XMCO - Partners " Tests d intrusion» Marc Behar - Frederic Charpentier XMCO - Partners 56 Retour d expériences Page 57 Le test d intrusion et les idées reçues Le test d intrusion et les autres solutions d audit Différents

Plus en détail

PHP et MySQL : notions de sécurité

PHP et MySQL : notions de sécurité PHP et MySQL : notions de sécurité Jean-Baptiste.Vioix@u-bourgogne.fr Dans ces quelques lignes des notions de sécurité élémentaires vont être présentées. Elles sont insuffisantes pour toute application

Plus en détail

Approche Méthodologique de la Gestion des vulnérabilités. Jean-Paul JOANANY - RSSI

Approche Méthodologique de la Gestion des vulnérabilités. Jean-Paul JOANANY - RSSI Approche Méthodologique de la Gestion des vulnérabilités Jean-Paul JOANANY - RSSI Generali un grand nom de l Assurance Le Groupe Generali Generali en France 60 pays 65 millions de clients 80.000 collaborateurs

Plus en détail

Modèle de cahier des charges pour un appel d offres relatif à une solution de gestion des processus métier (BPM)

Modèle de cahier des charges pour un appel d offres relatif à une solution de gestion des processus métier (BPM) LA BOITE A OUTILS DE L ACHETEUR DE BPM Modèle de cahier des charges pour un appel d offres relatif à une solution de gestion des processus métier (BPM) La boîte à outils de l acheteur de solution BPM -

Plus en détail

La sécurité des accès grand public

La sécurité des accès grand public La sécurité des accès grand public Cédric Blancher blancher@cartel-securite.fr Cartel Sécurité Salon Vitré On Line 25-27 octobre 2002 Plan 1. Introduction 2. Les risques spécifiques 3. Les bonnes habitudes

Plus en détail

Gestion des vulnérabilités «Back to basic» ou nouvelle tactique face à l évolution des attaques?

Gestion des vulnérabilités «Back to basic» ou nouvelle tactique face à l évolution des attaques? Gestion des vulnérabilités «Back to basic» ou nouvelle tactique face à l évolution des attaques? Xavier PANCHAUD Juin 2012, Paris Le groupe BNP Paribas 2 Organisation du BNP Paribas La sécurité des SI

Plus en détail

Stratégies opérationnelles SSI Gouvernance et traçabilité des postes CHU Nice

Stratégies opérationnelles SSI Gouvernance et traçabilité des postes CHU Nice Gouvernance et Sécurité des Systèmes d information Marseille- 7 juin 2011 Stratégies opérationnelles SSI Gouvernance et traçabilité des postes CHU Nice Gouvernance et traçabilité des postes? Gouverner

Plus en détail

OWASP ASVS Application Security Verification Standard. Antonio Fontes Chapter Meeting - 19 octobre 2015 OWASP Geneva Chapter

OWASP ASVS Application Security Verification Standard. Antonio Fontes Chapter Meeting - 19 octobre 2015 OWASP Geneva Chapter OWASP ASVS Application Security Verification Standard Antonio Fontes Chapter Meeting - 19 octobre 2015 OWASP Geneva Chapter Bio Antonio Fontes Sécurité et protection des données dans les opérations de

Plus en détail

RSSI à Temps Partagé Retour d expériences. 2011 Intrinsec - www.intrinsec.com securite.intrinsec.com

RSSI à Temps Partagé Retour d expériences. 2011 Intrinsec - www.intrinsec.com securite.intrinsec.com RSSI à Temps Partagé Retour d expériences 2011 Intrinsec - www.intrinsec.com securite.intrinsec.com Agenda Contexte Présentation du cadre d intervention «RSSI à Temps Partagé». Démarche SSI Retour d expérience

Plus en détail

Comment protéger ses systèmes d'information légalement et à moindre coût?

Comment protéger ses systèmes d'information légalement et à moindre coût? Se protéger légalement et à moindre coût. Comment protéger ses systèmes d'information légalement et à moindre coût? Thierry RAMARD Président d AGERIS Group SAS Président du Clusir Est mardi 19 juin 2012

Plus en détail

Industrie des cartes de paiement (PCI) Norme de sécurité des données Récapitulatif des modifications de

Industrie des cartes de paiement (PCI) Norme de sécurité des données Récapitulatif des modifications de Industrie des cartes de paiement (PCI) Norme de sécurité des données Récapitulatif des modifications de la norme PCI DSS entre les versions 2.0 et 3.0 Novembre 2013 Introduction Ce document apporte un

Plus en détail

Business Central Wireless Manager

Business Central Wireless Manager Business Central Wireless Manager Guide de présentation Sommaire CATÉGORIE DE PRODUIT... 3 PRÉSENTATION... 3 PRÉSENTATION DE BUSINESS CENTRAL... 3 FONCTIONNALITÉS ET ATOUTS... 4 POINTS D ACCÈS WIFI PRIS

Plus en détail

Mettre en oeuvre l authentification forte. Alain ROUX Consultant sécurité

Mettre en oeuvre l authentification forte. Alain ROUX Consultant sécurité Mettre en oeuvre l authentification forte au sein d une banque d investissement Alain ROUX Consultant sécurité GS Days Présentation EdelWeb Décembre 2009 Agenda Présentation d EdelWeb Contexte Les solutions

Plus en détail

Club Automation : Journée Cyber Sécurité Intégration de la Cyber Sécurité : Enjeux et étapes. 03 Décembre 2013

Club Automation : Journée Cyber Sécurité Intégration de la Cyber Sécurité : Enjeux et étapes. 03 Décembre 2013 Club Automation : Journée Cyber Sécurité Intégration de la Cyber Sécurité : Enjeux et étapes 03 Décembre 2013 2 HIDD Harmonisation des Infrastructures Système Informatique Industrielle et de Gestion Etude

Plus en détail

Impression de sécurité?

Impression de sécurité? Impression de sécurité? Matthieu Herrb Capitoul, le 1er avril 2010 Agenda 1 Introduction 2 Risque lié au logiciel d impression 3 Risques liés au réseau 4 Risques liés à l imprimante 5 Risques liés papier

Plus en détail

OZSSI NORD 4 JUIN 2015 - LILLE. Conférence thématique: Sécurité des applications

OZSSI NORD 4 JUIN 2015 - LILLE. Conférence thématique: Sécurité des applications OZSSI NORD 4 JUIN 2015 - LILLE Conférence thématique: Sécurité des applications www.advens.fr Document confidentiel - Advens 2015 Présentation de la société Advens 2 La sécurité est source de valeur Pas

Plus en détail

Jonathan BLANC David GERBAULET Julien MANUEL David NEMBROT Simon PACHY Dimitri TSIOPOULOS

Jonathan BLANC David GERBAULET Julien MANUEL David NEMBROT Simon PACHY Dimitri TSIOPOULOS Jonathan BLANC David GERBAULET Julien MANUEL David NEMBROT Simon PACHY Dimitri TSIOPOULOS SOMMAIRE Le projet Candide SA Contexte Objectifs Organisation C.A.S.T.R.I Déploiement des outils d audit Synthèse

Plus en détail

NEXT GENERATION APPLICATION SECURITY

NEXT GENERATION APPLICATION SECURITY NEXT GENERATION APPLICATION SECURITY FR UN MARCHÉ EN EXPANSION Le tournant du marché de la sécurité applicative. Dans le monde entier, les clients investissent dans la sécurité applicative pour faciliter

Plus en détail

5 novembre 2013. Cloud, Big Data et sécurité Conseils et solutions

5 novembre 2013. Cloud, Big Data et sécurité Conseils et solutions 5 novembre 2013 Cloud, Big Data et sécurité Conseils et solutions Agenda 1. Enjeux sécurité du Cloud et du Big Data 2. Accompagner les projets 3. Quelques solutions innovantes 4. Quelle posture pour les

Plus en détail

L audit de sécurité des réseaux Windows avec WinReporter

L audit de sécurité des réseaux Windows avec WinReporter White Paper L audit de sécurité des réseaux Windows avec WinReporter Ce document présente comment les administrateurs réseaux et système peuvent tirer le meilleur parti de WinReporter, édité par IS Decisions,

Plus en détail

PULSE 2. Rencontres Mondiales du Logiciel Libre Bordeaux, 8 Juillet 2010

PULSE 2. Rencontres Mondiales du Logiciel Libre Bordeaux, 8 Juillet 2010 PULSE 2 Rencontres Mondiales du Logiciel Libre Bordeaux, 8 Juillet 2010 Qui sommes-nous? Editeur français de logiciels Open Source Siège à Paris Clientèle internationale répartie dans près de 150 pays

Plus en détail

Industrialisation des développements

Industrialisation des développements Industrialisation des développements NovaForge, l usine de développement logiciel de Bull Emmanuel Rias emmanuel.rias@bull.net 1 Agenda Introduction NovaForge Processus d un projet dans NovaForge et Fonctionnalités

Plus en détail

NEXT GENERATION APPLICATION SECURITY

NEXT GENERATION APPLICATION SECURITY NEXT GENERATION APPLICATION SECURITY FR UN MARCHÉ EN EXPANSION Le tournant du marché de la sécurité applicative. Dans le monde entier, les clients investissent dans la sécurité applicative pour faciliter

Plus en détail

Mise en place d une politique de sécurité

Mise en place d une politique de sécurité Mise en place d une politique de sécurité Katell Cornec Gérald Petitgand Jean-Christophe Jaffry CNAM Versailles 1 Situation Sujet du projet Politique de sécurité Les Intervenants et leurs rôles : K. Cornec

Plus en détail

LA PROTECTION DES DONNÉES

LA PROTECTION DES DONNÉES LA PROTECTION DES DONNÉES PRÉSENTATION DE LA CONFÉRENCE 22/11/2012, Swissôtel Métropole INTRODUCTION PARTICIPANTS ANSWER SA : Benoit RAMILLON, IT Security Manager McAfee : Rolf HAAS, Sales System Engineer

Plus en détail

Sécurite Web. Xavier Tannier xavier.tannier@limsi.fr. Yann Jacob yann.jacob@lip6.fr

Sécurite Web. Xavier Tannier xavier.tannier@limsi.fr. Yann Jacob yann.jacob@lip6.fr Sécurite Web Xavier Tannier xavier.tannier@limsi.fr Yann Jacob yann.jacob@lip6.fr Généralités 80 % des sites contiennent au moins une faille de sécurité 24 familles de failles différentes : on ne présente

Plus en détail

Infostructures Performances Management La sécurité, la robustesse er la performance de vos infrastructures de données

Infostructures Performances Management La sécurité, la robustesse er la performance de vos infrastructures de données Infostructures Performances Management La sécurité, la robustesse er la performance de vos infrastructures de données Integrated Security Engineering (ISE) La sécurité au cœur de vos projets et systèmes

Plus en détail

Objectif : Passer de l analyse métier et fonctionnelle à la définition des applications qui

Objectif : Passer de l analyse métier et fonctionnelle à la définition des applications qui Formation PARTIE 1 : ARCHITECTURE APPLICATIVE DUREE : 5 h Objectif : Passer de l analyse métier et fonctionnelle à la définition des applications qui automatisent les fonctions Définir une architecture

Plus en détail

Architecte d infrastructures informatiques

Architecte d infrastructures informatiques Architecte d infrastructures informatiques E1C23 Infrastructures informatiques - IR L architecte d infrastructures informatiques pilote la conception, le déploiement et la mise en oeuvre d'architectures

Plus en détail

MonitorPack solutions

MonitorPack solutions Présentation TECK SYSTEM SOFT développe et déploie depuis 2003 des solutions d administration, de supervision, d inventaires & de gestion d incidents. Nos offres et services sont le résultat de plusieurs

Plus en détail

Congrès national des SDIS 2013

Congrès national des SDIS 2013 DSIC Pôle SSI Voie Fonctionnelle SSI Congrès national des SDIS 2013 10 Octobre 2013 SG/DSIC/Pôle SSI Congrès national SDIS Octobre 2013 1 Sommaire Focus sur les menaces La SSI dans la «vrai vie» De vrais

Plus en détail

Détection d Intrusions par Diversification de COTS et Diagnostic d Anomalies

Détection d Intrusions par Diversification de COTS et Diagnostic d Anomalies Détection d Intrusions par Diversification de COTS et Diagnostic d Anomalies Frédéric Majorczyk Ayda Saidane Éric Totel Ludovic Mé prénom.nom@supelec.fr Supélec, Rennes, France DADDi 18/11/2005 Frédéric

Plus en détail

4D v11 SQL Release 6 (11.6) ADDENDUM

4D v11 SQL Release 6 (11.6) ADDENDUM ADDENDUM Bienvenue dans la release 6 de 4D v11 SQL. Ce document présente les nouveautés et modifications apportées à cette nouvelle version du programme. Augmentation des capacités de chiffrement La release

Plus en détail

Sécurité Applicative & ISO 27034

Sécurité Applicative & ISO 27034 Club 27001 Toulouse 04/07/2014 - Sébastien RABAUD - Sécurité Applicative & ISO 27034 Agenda Sécurité applicative Constats Solutions? ISO 27034 Présentation Analyse 2 Agenda Sécurité applicative Constats

Plus en détail

Automatisez la configuration de vos serveurs en quelques clics avec Rudder

Automatisez la configuration de vos serveurs en quelques clics avec Rudder Automatisez la configuration de vos serveurs en quelques clics avec Rudder Maxime LONGUET m.longuet@itika.net Benoît Peccatte bpe@ 1 Qui sommes-nous? Maxime Longuet Membre fondateur de Libertis. Membre

Plus en détail

CONSEILS EN MATIÈRE DE SÉCURITÉ POUR LES PRODUITS COMMERCIAUX (CSPC) SOMMAIRE DU TÉLÉTRAVAIL

CONSEILS EN MATIÈRE DE SÉCURITÉ POUR LES PRODUITS COMMERCIAUX (CSPC) SOMMAIRE DU TÉLÉTRAVAIL CONSEILS EN MATIÈRE DE SÉCURITÉ POUR LES PRODUITS COMMERCIAUX (CSPC) SOMMAIRE DU TÉLÉTRAVAIL CSG-16\S Novembre Page intentionnellement laissée en blanc. Avant-propos Le document est non classifié et il

Plus en détail

SAFE&SMARTSOLUTIONS. Atelier «Contrer les menaces USB» Les Assises de la Sécurité & des Systèmes d Information 30/09/2015

SAFE&SMARTSOLUTIONS. Atelier «Contrer les menaces USB» Les Assises de la Sécurité & des Systèmes d Information 30/09/2015 BT.D46.D SAFE&SMARTSOLUTIONS Atelier «Contrer les menaces USB» Les Assises de la Sécurité & des Systèmes d Information 30/09/2015 2 I. La menace USB est-elle «has been»? 1. De quoi parle-t-on? 2. Des usages

Plus en détail

GOUVERNANCE DES ACCÈS,

GOUVERNANCE DES ACCÈS, GESTION DES IDENTITÉS, GOUVERNANCE DES ACCÈS, ANALYSE DES RISQUES Identity & Access Management L offre IAM de Beta Systems Beta Systems Editeur européen de logiciels, de taille moyenne, et leader sur son

Plus en détail